🇰🇷 한글 설명
OpenSSL의 tls_decrypt_ticket 함수에서 메모리 누수 취약점으로 인해 원격 공격자가 조작된 세션 티켓을 통해 메모리 소비 기반 거부 서비스 공격을 수행할 수 있다. 영향받는 버전은 0.9.8zc 이전, 1.0.0o 이전, 1.0.1j 이전이며, 세션 티켓 검증 실패 시 메모리가 해제되지 않아 지속적인 메모리 누수를 야기한다.
💡 쉬운 설명
OpenSSL 서버가 특수하게 조작된 세션 티켓을 받으면 서버의 메모리가 계속 낭비되는 문제가 있다. 공격자가 이를 반복하면 서버의 메모리가 부족해져 서비스가 중단될 수 있다.
🇺🇸 원문 (English)
Memory leak in the tls_decrypt_ticket function in t1_lib.c in OpenSSL before 0.9.8zc, 1.0.0 before 1.0.0o, and 1.0.1 before 1.0.1j allows remote attackers to cause a denial of service (memory consumption) via a crafted session ticket that triggers an integrity-check failure.
📍 영향받는 시스템
OpenSSL 0.9.8 (0.9.8zc 이전), 1.0.0 (1.0.0o 이전), 1.0.1 (1.0.1j 이전)
⚔️ 공격 벡터
원격 공격자가 네트워크를 통해 조작된 세션 티켓을 대상 서버로 전송하여 메모리 누수 유발
🛡️ 대응 방법
OpenSSL을 패치 버전으로 업그레이드: 0.9.8zc 이상, 1.0.0o 이상 또는 1.0.1j 이상 설치
🔧 검증 코드
OpenSSL 버전이 0.9.8zc, 1.0.0o, 1.0.1j 이상이면 취약점이 패치된 상태이며, 그 이전 버전이면 업그레이드 필요
openssl version | awk '{print $2}' && dpkg -l openssl 2>/dev/null | tail -1